ISO 27001 : l'analyse des risques, méthode simple pour PME

L'analyse des risques est l'étape qui fait le plus peur dans ISO 27001, et pourtant c'est le cœur de la démarche. Bonne nouvelle : la logique est simple à comprendre. Voici comment l'aborder sans se noyer.

Pourquoi c'est le point de départ

ISO 27001 ne vous dit pas « installez tel outil ». Elle vous demande d'abord de comprendre ce que vous risquez, puis de choisir des mesures adaptées à ces risques. C'est ce qui rend la norme intelligente : deux entreprises différentes n'auront pas les mêmes priorités. L'analyse des risques est donc ce qui justifie toutes vos décisions de sécurité.

Étape 1 : identifier les actifs à protéger

Un actif, c'est tout ce qui a de la valeur pour votre activité : des données clients, un fichier de facturation, un serveur, une application, un savoir-faire, parfois une personne clé. Listez ce qui, s'il était volé, perdu ou rendu indisponible, poserait un vrai problème. Inutile de tout recenser au gramme près : concentrez-vous sur l'essentiel.

Étape 2 : identifier les menaces et vulnérabilités

Pour chaque actif, demandez-vous ce qui pourrait mal tourner. Une menace, c'est un événement redouté : rançongiciel, vol de mot de passe, panne, erreur humaine, départ d'un prestataire. Une vulnérabilité, c'est la faiblesse qui rend la menace possible : pas de sauvegarde, mot de passe partagé, absence de mise à jour.

Étape 3 : évaluer chaque risque

On évalue généralement un risque selon deux axes : sa probabilité (est-ce plausible ?) et son impact (est-ce grave ?). En croisant les deux, vous obtenez un niveau de risque qui vous permet de prioriser. Un risque très probable et très grave passe en haut de la pile ; un risque rare et sans conséquence peut attendre.

Vous n'avez pas besoin d'une formule savante : une échelle simple (faible, moyen, élevé) suffit pour démarrer, tant qu'elle est appliquée de façon cohérente.

Étape 4 : traiter les risques

Pour chaque risque prioritaire, quatre choix possibles :

• réduire le risque en mettant en place une mesure (le cas le plus fréquent) ;
• accepter le risque s'il est faible et que le traiter coûterait plus cher que le laisser ;
• transférer le risque, par exemple via une assurance ou un prestataire ;
• éviter le risque en supprimant l'activité qui le génère.

Vos décisions se formalisent dans un plan de traitement des risques, puis les mesures retenues alimentent la déclaration d'applicabilité.

Faut-il utiliser EBIOS RM ?

En France, la méthode EBIOS Risk Manager, publiée par l'ANSSI, est une référence gratuite et reconnue pour structurer une analyse de risques. Elle est compatible avec ISO 27001 (qui n'impose aucune méthode précise). Pour une PME, EBIOS RM peut être un bon cadre, mais une approche plus légère est acceptable tant qu'elle est rigoureuse et documentée.

Le lien avec NIS2

L'analyse des risques est aussi la première des 10 mesures de l'article 21 de NIS2. Le travail que vous faites ici sert donc les deux démarches à la fois : c'est un investissement, pas une case à cocher.

En résumé

L'analyse des risques ISO 27001 suit une logique limpide : lister ce qui a de la valeur, imaginer ce qui pourrait mal tourner, évaluer la gravité, puis décider quoi faire. Elle justifie toutes vos mesures de sécurité et sert directement NIS2. Commencez simple, restez cohérent, documentez vos choix.

FAQ

ISO 27001 impose-t-elle une méthode d'analyse de risques ? Non. La norme exige une méthode définie et cohérente, mais vous laisse libre du choix. EBIOS RM est une option française reconnue.

À quelle fréquence refaire l'analyse ? Au moins une fois par an, et à chaque changement important : nouveau service, nouvel outil, incident, évolution de l'organisation.

Faut-il un outil spécialisé ? Non pour démarrer. Un tableur bien construit suffit à une PME. Les outils dédiés deviennent utiles quand le périmètre grandit.